암호화폐 하드웨어 지갑 제조사 Trezor의 물류 협력업체 ShipMonk가 해킹을 당해 총 8만 1,000명의 고객 정보(이름, 이메일, 전화번호, 배송지 주소)가 유출됐습니다. ShipMonk는 계약에 따라 데이터를 삭제해야 했지만 이행하지 않아 피해 규모가 추가로 확대됐습니다. 공격자들은 분석 플랫폼 Metabase의 SQL 인젝션(데이터베이스를 조작하는 공격) 제로데이(패치가 없는 신규) 취약점을 악용한 것으로 알려졌으며, 악명 높은 해킹 그룹 ShinyHunters가 협박 이메일을 보낸 정황도 확인됐습니다. 유출된 정보는 피싱(사기성 이메일·문자) 공격이나 실물 보안 위협에 악용될 수 있으므로, 해당 고객들은 개인정보를 요구하는 연락에 각별히 주의해야 합니다.
Trezor의 물류 협력업체 ShipMonk가 Metabase의 SQL 인젝션 제로데이 취약점을 통해 침해됐으며, ShinyHunters 그룹이 협박에 관여한 것으로 파악됐다. ShipMonk가 계약상 의무인 데이터 삭제를 이행하지 않아 피해 고객이 최초 1만 4,000명에서 총 8만 1,000명으로 확대됐다.
미국·브라질·콜롬비아·이탈리아·포르투갈·스웨덴·영국 등 다수 국가 고객의 이름, 이메일, 전화번호, 배송지 주소, 주문번호가 노출됐다. 피해자들은 피싱, 사기 전화·우편, 나아가 물리적 보안 위협에 노출될 수 있다.
제3자 물류 업체 ShipMonk가 사용 중인 분석 플랫폼 Metabase에 SQL 인젝션 제로데이 취약점이 존재했고, 공격자가 이를 악용해 관리자 권한을 획득한 뒤 데이터를 탈취했다.
Trezor는 피해 고객에게 피싱 위험을 경고하는 알림을 발송하고 공개 공지를 업데이트했다. Trezor 자체 시스템과 기기는 침해되지 않았다고 밝혔으며, ShipMonk와의 계약 위반에 대해 강한 유감을 표명했다.
공급망·물류 협력업체의 데이터 보존·삭제 의무 이행 여부를 계약과 실사 양면에서 정기적으로 검증해야 한다. Metabase 인스턴스를 운영 중인 기업은 즉시 패치 적용 여부를 확인해야 한다.
본문
암호화폐 하드웨어 지갑 제조사 Trezor에 따르면, 물류·배송 협력업체 ShipMonk에서 발생한 8월 데이터 침해 사고가 미국 고객 6만 7,000명에게 추가로 영향을 미친 것으로 확인됐다.
Trezor가 8월 13일 공개 당시 약 1만 4,000명의 고객 데이터(성명, 배송지 주소, 이메일 주소, 전화번호)가 유출됐다고 밝혔으나, 이번 추가 확인으로 총 피해 고객 수는 8만 1,000명에 달한다.
당시 회사 측 설명에 따르면, 이 사고는 2026년 5월 10일부터 8월 8일 사이에 주문을 접수한 브라질, 콜롬비아, 이탈리아, 포르투갈, 스웨덴, 영국 고객들에게도 영향을 미쳤다.
금요일에는 추가 공지를 통해, ShipMonk가 Trezor와의 계약 및 데이터 정책에서 요구한 대로 노출된 데이터를 삭제하지 않아 피해 범위가 확대됐음을 확인했다.
"2019년 11월부터 2021년 8월 사이에 주문한 미국 고객 6만 7,000명이 추가로 피해를 입었으며, 성명, 이메일, 전화번호, 배송지 주소, 주문 번호 등 전체 정보가 노출됐습니다"라고 Trezor는 밝혔다.
"ShipMonk와 협력하는 내내 계약, 데이터 정책, 과거 소통 내용에 따라 데이터 삭제를 반복적으로 요청했고 서면 확인서를 받았습니다. 그럼에도 불구하고 데이터가 삭제되지 않은 것에 매우 실망하고 있습니다."
회사는 이번 침해가 Trezor의 운영이나 서비스에는 영향을 미치지 않았으며, Trezor 자체 시스템은 침해되지 않았고, 모든 Trezor 기기는 안전하다고 덧붙였다.
또한 피해 고객들에게 개인정보를 요구하는 메시지에 각별히 주의할 것을 당부했다. 피싱 공격의 표적이 될 수 있기 때문이다.
"피싱 위험이 높아졌음을 인지하십시오. 유출된 정보는 사기 이메일, 사기 전화나 우편에 악용될 수 있으며, 피해 개인에게 물리적 보안 위협이 될 가능성도 있습니다"라고 Trezor는 경고했다.
Metabase 캠페인과 ShinyHunters 협박 그룹의 연관성
회사는 ShipMonk 시스템이 어떻게 침해됐는지 아직 공개하지 않았으나, BleepingComputer가 입수한 피해 고객 대상 침해 통보 이메일에 따르면 공격자들은 제3자 분석 플랫폼 Metabase의 취약점을 악용했다.
BleepingComputer가 앞서 보도한 바와 같이, Metabase는 위협 행위자들이 SQL 인젝션(데이터베이스를 악의적으로 조작하는 공격) 제로데이(패치가 없는 신규) 취약점을 악용해 고객 인스턴스를 침해하고, 침해된 인스턴스의 관리자 권한을 획득한 뒤 데이터를 탈취하는 공격을 수행했다고 밝혔다.
또한 BleepingComputer는 ShipMonk가 ShinyHunters 협박 그룹으로부터 협박 이메일을 수신했다는 사실도 파악했다.
이번 Metabase 캠페인의 피해 기업 목록에는 온라인 설문 플랫폼 Tally와 노트북 제조사 Framework도 포함되어 있으며, 이들 역시 인스턴스가 탈취된 후 데이터 침해 사실을 고객들에게 통보했다.
한편, Trezor는 2024년 1월에도 위협 행위자가 제3자 고객 지원 티케팅 포털을 침해해 약 6만 6,000명 사용자의 데이터(이름, 사용자명, 이메일 주소 등)에 접근한 별도의 데이터 침해 사고를 공개한 바 있다.
당시 탈취된 데이터는 이후 피해자들의 24단어 지갑 복구 시드(암호화폐 지갑을 복원하는 핵심 암호)를 훔치려는 피싱 공격에 활용됐다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
